Η AI κάνει την απάτη σχεδόν δωρεάν σε κλίμακα, προειδοποιεί ο CTO της NordVPN

Μια λειτουργική σειρά κλεμμένων διαπιστευτηρίων, ένα επαγγελματικό e-mail, μια ενεργή πιστωτική κάρτα και μια ταυτότητα κοστίζουν τώρα περίπου $19, σύμφωνα με έρευνα της NordVPN.

Οι επαγγελματίες της καταναλωτικής κυβερνοασφάλειας λένε ότι η AI έχει κάνει τόσο την κλοπή όσο και τις επακόλουθες απάτες σχεδόν ανέξοδες για μαζική κλιμάκωση.

Για τους επενδυτές, αυτό μετασχηματίζει διακριτικά μια επιχείρηση VPN ως εμπορεύσιμο προϊόν σε έναν αγώνα υψηλότερης αξίας γύρω από την ταυτότητα και την καταπολέμηση της απάτης.

Ο Marijus Briedis, τεχνικός διευθυντής (CTO) της NordVPN, είπε στο podcast On The Margin ότι οι κλεμμένες ταυτότητες είναι τώρα σοκαριστικά φθηνές.

Αναφερόμενος σε πρόσφατη έρευνα της NordVPN στη Λιθουανία, είπε ότι κοστίζει ελάχιστα «να αποκτήσεις λειτουργικό επαγγελματικό e-mail, μια ενεργή πιστωτική κάρτα και κάποιο είδος ταυτότητας· είναι περίπου $19 αυτές τις μέρες.»

Ο λόγος είναι η κλίμακα. «Αυτές οι διαρροές συμβαίνουν πρακτικά κάθε μέρα πλέον,» είπε. «Λειτουργείς σε επίπεδο δεδομένων, και ουσιαστικά δεν σε νοιάζει, ειλικρινά. Απλώς συνδυάζεις αυτά τα δεδομένα από διαφορετικές πηγές και τα βάζεις σε ένα καλάθι ... μια νέα βάση δεδομένων, και προσπαθείς να τα πουλήσεις όσο περισσότερο μπορείς.»

Οι αναφερόμενες απώλειες είναι ήδη σε ιστορικά υψηλά. Η ετήσια έκθεση IC3 του FBI κατέγραψε $16.6 δισεκατομμύρια από κυβερνοεγκλήματα το 2024, αύξηση 33% σε σχέση με το προηγούμενο έτος, και το Κέντρο Χρηματοοικονομικών Υπηρεσιών της Deloitte αναμένει ότι οι απάτες με γενετική AI θα φτάσουν τα $40 δισεκατομμύρια στις ΗΠΑ το 2027, από $12.3 δισεκατομμύρια το 2023.

Γιατί η AI βιομηχανοποίησε την απάτη

Τα εργαλεία έχουν συρρικνωθεί σχεδόν στο μηδέν. Το στήσιμο ενός ψεύτικου καταστήματος για να συλλέξει στοιχεία καρτών, είπε ο Briedis, «είναι πια σαν δέκαλεπτη δουλειά αυτές τις μέρες, συμπεριλαμβανομένης της αγοράς του domain, της τοποθέτησης της ιστοσελίδας, και της ώθησης στην παραγωγή όπως τη λέμε.»

Αυτό, είπε, είναι ο λόγος που οι εκστρατείες απάτης και phishing κλιμακώνονται «εκθετικά», ειδικά γύρω από το Black Friday, και αναμένει ότι τα εργαλεία AI θα το ωθήσουν «βασικά εκθετικά» από εδώ και πέρα.

Το επόμενο μέτωπο είναι η φωνή, και είπε ότι ήδη τρέχει.

«Υπάρχουν ήδη προηγμένες επιθέσεις όπου οι δράστες πρώτα προσπαθούν να καλέσουν έναν συγγενή σου για να αποκτήσουν τη φωνή σου και τον τρόπο που μιλάς, και στη συνέχεια χρησιμοποιούν αυτή τη φωνή που έχει δημιουργηθεί με AI για να καλέσουν τον συγγενή σου και να προσπαθήσουν να σε εξαπατήσουν,» είπε ο Briedis. Αναμένει ότι οι απάτες θα συνεχίσουν να συνδυάζουν «κείμενο, φωνή, βίντεο.»

Έχει ήδη κοστίσει πραγματικά χρήματα σε εταιρείες. Ο Briedis παρέθεσε την υπόθεση του 2024 στην Arup, την λονδρέζικη μηχανική εταιρεία, όπου ένας υπάλληλος οικονομικών στο Χονγκ Κονγκ μετέφερε $25.6 εκατομμύρια μετά από βιντεοκλήση στην οποία όλοι οι υπόλοιποι συμμετέχοντες ήταν deepfake ρητά που δημιούργησε AI.

«Ο λογιστής παγιδεύτηκε στο να στείλει είκοσι πέντε εκατομμύρια στους απατεώνες επειδή βρισκόταν στη συνεδρία Zoom με όλους τους διευθυντές εκείνη τη στιγμή,» είπε.

Το αυτοματοποιημένο μέτωπο ανησυχεί και άλλους στον χώρο. Ο Varun Kabra, chief growth officer στην κονσόρτιουμ blockchain με έμφαση στην ταυτότητα Concordium και πρώην στέλεχος στην Proton, είπε στο ίδιο podcast ότι οι πράκτορες AI αρχίζουν να πραγματοποιούν συναλλαγές για λογαριασμό ανθρώπων και κανείς δεν μπορεί να διακρίνει ποιος βρίσκεται πραγματικά πίσω τους.

«Η αντισυμβαλλόμενη πλευρά, η αεροπορική εταιρεία σε αυτή την περίπτωση, ή η πλατφόρμα πώλησης εισιτηρίων, ό,τι κι αν είναι, δεν έχει τρόπο να επαληθεύσει αν υπάρχει ένας πραγματικός, υπεύθυνος άνθρωπος πίσω από τη συναλλαγή,» είπε.

«Και αυτό μπορεί να ανοίξει μια πόρτα στην απάτη, bots που υποδύονται ανθρώπους, πράκτορες που λειτουργούν χωρίς λογοδοσία.»

Έδωσε και χρονικό πλαίσιο: «Πιθανώς βρισκόμαστε έξι έως δώδεκα μήνες μακριά ώστε αυτές οι συναλλαγές να υπερβούν τις ανθρώπινες προς ανθρώπινες συναλλαγές, και επομένως η λογοδοσία ανθρώπου-προς-πράκτορα είναι το μεγαλύτερο πρόβλημα που πιστεύω χρειάζεται να λύσει ο κόσμος.»

Το σημείο για τους επενδυτές είναι ότι η σημερινή αγορά απάτης λειτουργεί με κλεμμένες ανθρώπινες ταυτότητες, και η επόμενη θα λειτουργεί με μηχανικές ταυτότητες — πράκτορες που ξοδεύουν χωρίς ανθρώπινη παρέμβαση που να μπορεί να κατηγορηθεί.

Γιατί το VPN μετατρέπεται σε προϊόν προστασίας από απάτες

Η NordVPN έχει διευρυνθεί από απλό VPN σε πακέτο άμυνας κατά της απάτης, και ο Briedis είπε ότι το παραβλεπόμενο σημείο ευπάθειας είναι το cookie συνεδρίας.

«Πολλοί άνθρωποι συνήθως κάνουν log in στον λογαριασμό τους και απλώς το ξεχνούν. Δεν κάνουν log out. Και συνήθως αυτό είναι το πρόβλημα γιατί αν το cookie δημιουργηθεί και διαρρεύσει μέσω info stealers ή malware ή οτιδήποτε άλλο, αυτό το cookie μπορεί να χρησιμοποιηθεί με διάφορες τεχνικές για να συνδεθούν στον λογαριασμό σας και να πάρουν τον έλεγχο των δεδομένων σας,» είπε.

Το μέτρο του για την κυκλοφορία μιας λειτουργίας δεν είναι τεχνικό. «Η μεγαλύτερη και καλύτερη διασφάλιση ποιότητας του προϊόντος μας είναι η μητέρα μου,» είπε.

«Αν η λειτουργία είναι πολύ τεχνολογική και εκείνη δεν καταλαβαίνει πώς να τη χρησιμοποιήσει, αυτό είναι πολύ καλός δείκτης για το αν πρέπει να την προωθήσουμε ή όχι.»

Η στροφή είναι και ζήτημα περιθωρίου. Ένα αυτόνομο VPN είναι πλέον εμπόρευμα σε πόλεμο τιμών, ενώ η προστασία ταυτότητας και κατά της απάτης είναι πιο δεσμευτική και υψηλότερης αξίας, συνδεδεμένη με τα τραπεζικά στοιχεία του πελάτη.

Οι εκτιμήσεις της αγοράς για την προστασία από κλοπή ταυτότητας κυμαίνονται περίπου μεταξύ $14 και $17 δισεκατομμυρίων το 2025, με τις περισσότερες προβλέψεις να δείχνουν ετήσια ανάπτυξη χαμηλών διψήφιων ποσοστών.

Η ένδειξη ήρθε τον Απρίλιο του 2025, όταν η Gen Digital, που συγχώνευσε την Norton με την Avast το 2022, πλήρωσε περίπου $1 δισεκατομμύριο για την καταναλωτική εφαρμογή MoneyLion, προσαρτώντας τραπεζικά και πιστωτικά εργαλεία στην επιχείρηση προστασίας ταυτότητας. Το «περισσότερο από VPN» της Nord είναι η ίδια στοιχηματική κίνηση από την ιδιωτική πλευρά.

Η εταιρεία αυτής της Βίλνιους, που τελευταίως εκτιμήθηκε στα $3 δισεκατομμύρια σε γύρο της Warburg Pincus το 2023, ανταγωνίζεται με την Gen Digital και τη McAfee, ενώ οι ExpressVPN, Surfshark και Proton παραμένουν οι άμεσοι ανταγωνιστές VPN.

Ο Briedis είπε ότι το προβάδισμα είναι η εμπιστοσύνη και ότι αυτό διαχωρίζει έναν πληρωμένο πάροχο από το πλήθος των δωρεάν παρόχων.

«Υπάρχουν δωρεάν VPN, πολλά δωρεάν VPN,» είπε, αμφισβητώντας πώς διατηρούν την υποδομή τους: «ίσως κάνουν κάτι με τα δεδομένα, δεν ξέρουμε.»

Η δική του απάντηση είναι ένας ετήσιος έλεγχος: «Κάνουμε ελέγχους no-logs κάθε χρόνο. Ξεκινήσαμε ως το πρώτο VPN στη βιομηχανία που το έκανε.»

Ο ρυθμιστικός κίνδυνος που πρέπει να παρακολουθούν οι επενδυτές

Η πώληση ιδιωτικότητας φέρει πολιτικό κόστος. Ο Briedis είπε ότι η Nord έχει αποχωρήσει από ολόκληρες αγορές παρά να αποθηκεύσει δεδομένα χρηστών.

«Κάποιοι θέλουν να αποκτήσουν αυτά τα δεδομένα για να έχουν πρόσβαση,» είπε. «Δεν θα λειτουργήσουμε σε εκείνη τη χώρα γενικά· απλώς αφαιρούμε τους servers μας από εκεί.»

Η πιο χαρακτηριστική περίπτωση είναι η Ινδία: οι κανόνες CERT-In του 2022 ζήτησαν από τους παρόχους VPN να κρατούν δεδομένα πελατών για έως πέντε χρόνια, και η NordVPN, η ExpressVPN, η Surfshark, η Proton και η Hide.me απέσυραν όλους τους ινδικούς servers τους αντί να συμμορφωθούν.

Για μια επιχείρηση της οποίας η υπόσχεση είναι ότι δεν κρατά τίποτα, ένας νόμος περί διατήρησης δεδομένων είναι λιγότερο κόστος και περισσότερο ειδοποίηση έξωσης.

Δεν όλοι διαμορφώνουν την ιδιωτικότητα όπως ο Briedis. Ο Kabra τραβά σαφή γραμμή μεταξύ ιδιωτικότητας και ανωνυμίας:

«Πάντα θεωρώ την ιδιωτικότητα και την ανωνυμία ως εντελώς διαφορετικά πράγματα,» είπε, υποστηρίζοντας ότι ένας λογαριασμός μπορεί να φέρει επαληθευμένη σύνδεση με έναν άνθρωπο ενώ αποδείξεις μηδενικής γνώσης κρατούν την ταυτότητα κρυφή.

Αυτό είναι το αντίθετο ένστικτο από ένα VPN χωρίς καταγραφές σχεδιασμένο να μην ξέρει τίποτα καθόλου.

Τι σημαίνει αυτό για τους επενδυτές

Για τους επενδυτές, πρόκειται για μετατόπιση της ζήτησης: η AI μειώνει το κόστος των επιθέσεων πιο γρήγορα από ό,τι οι χρήστες αυξάνουν την προφύλαξή τους, και τα χρήματα μετατοπίζονται από τα απλά VPN προς δεσμευμένα πακέτα προστασίας ταυτότητας, απάτης και σκοτεινού διαδικτύου.

Ο Briedis το πλαισιώνει ως μια μάχη χωρίς τελική γραμμή: όποια κι αν είναι η άμυνα, οι επιτιθέμενοι εξελίσσονται επίσης, την αποκάλεσε «μια μάχη που δεν τελειώνει ποτέ.»

Το συμπέρασμά του είναι ότι το λογισμικό είναι μόνο το μισό του προβλήματος. «Είναι, πάλι, για την εκπαίδευση ... πώς συμπεριφέρεσαι,» είπε.

«Συνήθως όλα αυτά τα σχήματα βασίζονται στην αίσθηση επείγοντος — προσπαθούν να σε ωθήσουν να κάνεις κάποια ενέργεια που δεν θα έκανες σε κανονική συμπεριφορά.»